CVE公告刷屏先别慌：openEuler上用CVE-ease盯漏洞

做运维的都遇到过这种早上：安全群里转出一条高危CVE，所有人都在问"咱们的系统中招没有"。逐台登录查版本、翻公告对编号，一圈下来半天没了。openEuler 提供了一个专门的工具 CVE-ease，按官方文档定位就是"帮助用户快速应对系统漏洞"——漏洞信息实时获取、管理和播报，把刷公告、对版本、盯状态这三件事自动化。

它是怎么工作的

CVE-ease 按特定时间间隔从 CVE 披露渠道抓取信息，抓回来按统一结构入库并计算特征值；编号已存在的就对比特征值，有变化才更新。交互界面默认展示最近十条 CVE，可以按分数、年份等条件查历史，也能对关注的包设置跟踪状态，动态信息实时播报——也就是说，你关心的 openssl、kernel 有新动向时，它替你盯着。

安装与启动（命令照抄官方文档）

官方提供源码安装与容器安装两种路子，源码方式：

git clone https://gitee.com/openeuler/cve-ease cve-ease.git
cd cve-ease.git/cve-ease
make install

服务用 systemd timer 常驻：

systemctl enable --now cve-ease.timer
systemctl status cve-ease.timer
systemctl status cve-ease.service

timer 配置为开机 1 分钟后启动，之后每 10 分钟触发一次，抓取和入库不用人工干预。日常控制有三个子命令：cve-ease service -k 暂停、-r 重启、-s 看状态。

日常怎么用

高频的是 cve 子命令这一组：

cve-ease cve -m   # 爬取并写入数据库
cve-ease cve -l   # 格式化显示CVE信息
cve-ease cve -t   # 显示统计信息
cve-ease cve -r   # 显示裸数据（不写库）

安全公告用 sa 子命令、CVRF 用 cvrf 子命令，选项与 cve 一致。想知道自己这台机器装了什么包，cve-ease rpm -l 直接列。配置文件在 /etc/cve-ease/cve-ease.cfg：设产品版本、信息过期天数，focus_on 里填重点关注的包（比如 kernel、systemd、openssh、openssl），还支持配置企业微信、钉钉、飞书和邮箱通知——新漏洞一到就推到值班群。

与打补丁怎么衔接

CVE-ease 负责"发现与跟踪"，修复环节照常走系统的包更新流程：官方源里的安全更新按常规方式升级即可，升级前后用 CVE-ease 复核状态，形成"公告进来—比对自己—升级—复核闭环"的完整链路。小团队建议先把 focus_on 配上核心包再加通知渠道，一周看一次统计就能掌握大局。

漏洞管理拼的不是反应速度，是有没有一套不用人盯的机制。贵州诚鑫致达科技为企业的 openEuler 服务器做安全运维托管，漏洞跟踪、补丁升级、应急响应按月巡检交付，想把漏洞管理自动化起来的单位欢迎联系我们聊聊。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。